Kapitel 100: Deepfake und Videofälschung — Wenn die Augen lügen

Über Jahrtausende hinweg hat sich die Menschheit auf den Sehsinn als endgültigen Anker der Wahrheit verlassen. „Ein Bild sagt mehr als tausend Worte“, besagt das alte Sprichwort, was unser absolutes Vertrauen widerspiegelt, dass etwas, das wir mit eigenen Augen gesehen haben, zwangsläufig auch stattgefunden hat. Vor Gericht galt die Zeugenaussage seit jeher als „Königin der Beweise“, und im täglichen Leben war die Fähigkeit, Gesichter zu erkennen, Mimik zu deuten oder Nuancen der Stimme in einem Video zu erfassen, die letzte Barriere gegen Betrug. Doch im Zeitalter der generativen Künstlichen Intelligenz (Generative AI) ist diese Barriere nicht nur brüchig geworden – sie ist in tausend Scherben zerfallen. Wir treten in ein Zeitalter ein, in dem unsere Augen zur Waffe werden, die gegen uns gerichtet ist.

Im Laufe der Jahre, und während der beruflichen Tätigkeit eines auf digitalen Betrug spezialisierten Rechtsanwalts, lässt sich beobachten, wie sich die Technologie in atemberaubendem Tempo entwickelt. Mussten sich Betrüger früher mit schlecht formulierten E-Mails oder Telefonanrufen mit verdächtigem Akzent begnügen, sind sie heute in der Lage, eine alternative Realität zu erschaffen. Deepfake ist kein bloßes „Upgrade“ eines Betrugs; es ist ein Quantensprung. Es ist der Punkt, an dem Algorithmen des maschinellen Lernens Gesichter, Lippenbewegungen und menschliche Nuancen erfassen, um ein Video einer Person zu erstellen – oft einer Person, die ihrem Umfeld bekannt ist, oder ein Vorgesetzter bei der Arbeit –, die Dinge sagt und tut, die so nie stattgefunden haben. Dieses Kapitel soll dazu dienen, sich auf den Moment vorzubereiten, in dem die Realität vor den eigenen Augen verzerrt werden könnte.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Sonntagmorgen, 08:30 Uhr. Ronen, ein Finanzvorstand im Unternehmen, setzte sich mit der ersten Tasse Kaffee des Tages an den Computer. Sein Terminkalender war voll, aber eine „Dringend“-Nachricht in seinem Teams-Posteingang ließ ihn aufschrecken. Es war der CEO des Unternehmens, Gideon, der sich in dieser Woche auf einer Konferenz im Ausland befand. „Ronen, hast du Zeit für einen kurzen Videoanruf? Wir müssen den Kauf des Startups jetzt abschließen, sonst verlieren wir sie“, stand in der Nachricht.

Ronen aktivierte die Kamera, und das vertraute Gesicht von Gideon erschien auf dem Bildschirm. Gideon wirkte etwas müde – verständlich angesichts der Zeitverschiebung – und die Beleuchtung in seinem Hotelzimmer war etwas gedimmt. „Hörst du mich, Ronen?“, fragte Gideon mit seiner bekannten rauen Stimme. „Wir haben ein Zeitfenster von zwei Stunden. Die Anwälte verlangen eine Anzahlung von 450.000 Dollar auf ein Treuhandkonto, um das Angebot aufrechtzuerhalten. Ich sende dir jetzt die Kontodaten per E-Mail. Bitte bestätige die Überweisung sofort. Ich muss zurück in die Sitzung.“

Ronen bemerkte, dass Gideon gestresst wirkte. Er sah seine charakteristischen Handbewegungen, die Art, wie er sich am Kopf kratzte, wenn er besorgt war. „Gideon, das ist ein ungewöhnlicher Betrag für eine Überweisung ohne physische Doppelunterschrift“, wagte Ronen einzuwenden. Gideon seufzte auf dem Bildschirm, sein Gesichtsausdruck wurde etwas ungeduldig. „Ronen, ich sehe dich, du siehst mich. Ich genehmige dir das hier und jetzt. Der Aufsichtsrat wurde bereits prinzipiell informiert. Wenn wir das verpassen, liegt die Verantwortung bei dir. Ich sende die Details.“ Das Gespräch wurde beendet. Sekunden später kam die E-Mail mit den Daten der Bank.

Ronen hatte ein ungutes Gefühl, aber er hatte den CEO gesehen. Er hatte ihn gehört. Ronen führte die Überweisung durch. Erst am Abend, als er eine persönliche WhatsApp-Nachricht an Gideon schickte und fragte: „Wie ist die Sitzung nach der Überweisung gelaufen?“, kam die erschütternde Antwort: „Welche Überweisung? Wir haben seit heute Morgen nicht gesprochen, ich bin überhaupt bei einer Besichtigung in einem anderen Werk.“

In diesem Szenario fiel das Opfer nicht auf einen gewöhnlichen menschlichen Fehler herein, sondern auf einen Deepfake-Videoanruf – einer der raffiniertesten Betrugsmaschen, die es heute gibt. Bei dieser Methode sammeln Betrüger visuelle und akustische Materialien der Person (Interviews, Podcasts, soziale Netzwerke) und speisen sie in ein KI-Modell ein, das lernt, Gesicht und Stimme in Echtzeit nachzuahmen.

Die Technologie hinter der Maske: Wie es funktioniert und warum wir daran glauben?

Um uns zu schützen, müssen wir zunächst den Mechanismus verstehen. Die Deepfake-Technologie basiert auf Generative Adversarial Networks (GANs). Es handelt sich um zwei KI-Algorithmen, die gegeneinander arbeiten: Ein Algorithmus (der „Fälscher“) erzeugt ein Bild oder Video, während der zweite Algorithmus (der „Kritiker“) versucht zu erkennen, ob es sich um eine Fälschung handelt. Der Prozess wiederholt sich viele Male, bis das Ergebnis von der Realität kaum noch zu unterscheiden ist.

Das Hauptproblem ist die menschliche Psychologie. Das Gehirn ist darauf programmiert, der Gesichtserkennung zu vertrauen. Wenn wir vertraute Merkmale einer nahestehenden oder autoritären Person sehen, können sich die natürlichen Schutzmechanismen entspannen. Betrüger nutzen dies aus, indem sie ein Element der Dringlichkeit (Urgency) hinzufügen, was dazu führt, dass der Fokus auf die Problemlösung statt auf die Prüfung der Glaubwürdigkeit der Quelle verlagert wird.

Darüber hinaus hat sich die Qualität von Deepfakes deutlich verbessert. Früher konnte man „Sprünge“ im Bild oder eine mangelnde Synchronisation feststellen, doch heute ermöglicht die Technologie die Erstellung einer digitalen Figur, die in Echtzeit reagiert. Bei Videoanrufen, bei denen die Verbindungsqualität nicht perfekt ist, ist es einfach, technische Mängel als normale Kommunikationsprobleme zu tarnen.

Die rechtliche Arena: Analyse der Verantwortung bei Täuschungsszenarien

Wenn Gelder aufgrund eines Deepfake-Betrugs überwiesen werden, stellt sich die rechtliche Frage, wer die Verantwortung trägt: der Zahler, der die Handlung ausgeführt hat, oder das Finanzinstitut, das die Gelder eigentlich schützen sollte?

In Israel ist der zentrale normgebende Rahmen das Gesetz über Zahlungsdienste, 2019. Das Gesetz regelt die Beziehung zwischen einem Kunden und einem Zahlungsdienstleister. Bei einem „Missbrauch“ eines Zahlungsmittels tendiert das Gesetz dazu, den Kunden zu schützen, doch Deepfake-Betrügereien stellen eine einzigartige Herausforderung dar, da die Handlung meist vom Kunden selbst unter Vorspiegelung falscher Tatsachen ausgeführt wird.

In diesen Fällen könnte von Finanzinstituten das Argument vorgebracht werden, dass der Kunde „grob fahrlässig“ gehandelt habe. Dagegen kann man das rechtliche Argument prüfen, dass der Sorgfaltsmaßstab an die technologische Entwicklung angepasst werden sollte. Wenn Instrumente eingesetzt werden, die über das normale Fassungsvermögen hinausgehen, stellt sich die Frage, ob man dem Opfer grobe Fahrlässigkeit zuschreiben kann.

Die Gerichte könnten die „Schuldbilanz“ prüfen: Hat das Finanzinstitut ungewöhnliche Aktivitäten erkannt? Hätten automatisierte Systeme eine Überweisung in ungewöhnlicher Höhe an ein risikobehaftetes Ziel ohne menschliche Verifizierung stoppen müssen? Es besteht die Möglichkeit, die Verantwortung des Instituts zu prüfen, wenn nachgewiesen werden kann, dass keine angemessenen Vorsichtsmaßnahmen zur Betrugsprävention getroffen wurden, in einem Zeitalter, in dem Cyberrisiken dem System bekannt sind.

Über das Gesetz über Zahlungsdienste hinaus können Ansprüche aus dem Bereich des Schadensersatz- und Vertragsrechts geprüft werden, wie etwa die Fahrlässigkeit von Dienstleistern oder das Niveau des organisatorischen Schutzes. Dennoch ist die Rückgewinnung von Geldern in solchen Fällen ein komplexer Prozess, der von den Umständen und dem Zeitpunkt der Betrugserkennung abhängt.

Verletzung der Privatsphäre und Identitätsfälschung

Ein weiterer rechtlicher Aspekt betrifft das Datenschutzgesetz, 1981 und das Gesetz über das Verbot von Verleumdung. Die Erstellung eines Deepfake-Videos, das einer Person Dinge zuschreibt, die nie gesagt wurden, kann als Verletzung der Privatsphäre und des guten Namens gewertet werden. Man kann rechtliche Möglichkeiten wie unlauteren Wettbewerb oder die Verletzung der Autonomie prüfen und gegebenenfalls gegen Akteure vorgehen, die den Datenabfluss ermöglicht haben, der zur Erstellung der Fälschung genutzt wurde.

Ein Abgrund des Misstrauens: Mögliche Konsequenzen

Die große Gefahr des Deepfake ist die Beeinträchtigung des Vertrauens. In einer Situation, in der man sich nicht auf den Augenschein verlassen kann, könnte das menschliche und geschäftliche Gefüge Schaden nehmen. Führungskräfte könnten Anweisungen gegenüber misstrauisch werden, und die Gerichte werden sich neuen Beweisproblemen hinsichtlich der Authentizität visueller Beweise stellen müssen.

Auf organisatorischer Ebene könnte ein Übergang zu einem Modell der „protokollbasierten Verifizierung“ in Betracht gezogen werden. So wie digitale Signaturen verwendet werden, könnte es notwendig sein, Identitäten durch zusätzliche Mittel zu verifizieren, die nicht nur vom äußeren Erscheinungsbild abhängen.

Wie erkennt man das Unerkennbare? Warnsignale und Abwehrmechanismen

Trotz der Weiterentwicklung der Technologie kann man bei Wachsamkeit manchmal verdächtige Anzeichen erkennen.

Mögliche technische Anzeichen bei einem Videoanruf:

• Unnatürliches Blinzeln: Einige Modelle haben Schwierigkeiten, eine natürliche menschliche Blinzelrate nachzuahmen.
• Mund- und Zahnbereich: Mangelnde Übereinstimmung zwischen Lippenbewegung und Stimme oder Unschärfen um den Mund beim schnellen Sprechen.
• Schattenwurf und Gesichtswinkel: Fälschungen, die bei schnellen Kopfbewegungen „verschmiert“ aussehen können, oder eine mangelnde Übereinstimmung der Schatten mit der Lichtquelle.
• Audioqualität im Vergleich zum Video: Kombination aus hochwertigem Ton mit einem Video, das synthetisch wirkt oder eine geringe Qualität aufweist.

Abwehrtaktik: Menschlicher Verifizierungscode

Eine einfache Methode zur Bewältigung ist die Festlegung eines „Codeworts“ oder einer persönlichen Frage mit Familienmitgliedern oder Kollegen, deren Antwort nicht im Internet zu finden ist. Im Verdachtsfall kann eine persönliche Frage gestellt werden, deren Antwort nur die andere Seite sofort wissen sollte.

Empfohlene Schritte im Falle eines Verdachts oder Schadens

In diesen Fällen ist die Reaktionsgeschwindigkeit entscheidend:

1. Abbruch der Kommunikation: Im Verdachtsfall wird empfohlen, das Gespräch sofort zu beenden.
2. Verifizierung über einen separaten Kanal: Kontaktaufnahme mit der Person über ein anderes Kommunikationsmittel (normales Telefonat, Nachricht auf einem anderen Kanal).
3. Meldung an das Finanzinstitut: Falls eine Überweisung durchgeführt wurde, muss sofort die Bank kontaktiert werden, um die Möglichkeit einer Stornierung oder eines Stopps der Überweisung zu prüfen.
4. Dokumentation: Speicherung von Screenshots, E-Mail-Details und allen anderen technischen Informationen im Zusammenhang mit dem Vorfall.
5. Meldung an die Behörden: Einreichung einer Anzeige bei der Polizei (Cyber-Einheit) zur offiziellen Dokumentation.
6. Rechtliche Prüfung: Es wird empfohlen, den Fall mit Experten auf diesem Gebiet zu erörtern, um die Handlungsoptionen gegenüber den beteiligten Institutionen zu verstehen.

Rechtlicher Aspekt: Zusammenfassung der Möglichkeiten

Die rechtliche Lage befindet sich im Anpassungsprozess an die neue Realität. Es gibt mehrere rechtliche Grundsätze, die geprüft werden können:

1. Sorgfaltspflicht des Finanzinstituts

Es kann geprüft werden, ob das Finanzinstitut seiner Treue- und Sorgfaltspflicht nachgekommen ist und ob geeignete Verifizierungsmechanismen vor der Durchführung ungewöhnlicher Transaktionen angewendet wurden.

2. Prüfung des Begriffs der Fahrlässigkeit

Es kann argumentiert werden, dass die Anfälligkeit für eine fortgeschrittene technologische Manipulation keine „grobe Fahrlässigkeit“ darstellt, da es sich um eine Täuschung handelt, die darauf ausgelegt ist, selbst einen vernünftigen und vorsichtigen Menschen in die Irre zu führen.

3. Versicherungsschutz

Im Falle von Organisationen kann geprüft werden, ob bestehende Cyber-Versicherungspolicen Vorfälle von technologiebasierter Social Engineering abdecken.

Zusammenfassend lässt sich sagen, dass man sich in einem Zeitalter, in dem die Augen täuschen können, auf Verifizierungsprozesse, kritisches Denken und rechtliche Absicherungen verlassen muss. Die Realität erfordert von uns, dass wir lernen, das zu verifizieren, was wir sehen, und die professionellen Werkzeuge, die uns zur Verfügung stehen, nutzen, um unsere Rechte zu schützen.

Warnsignale (Checkliste):

• Dringende Aufforderung zur Geldüberweisung in einem ungeplanten Videoanruf.
• Visuelle Störungen oder „Glitches“ im Bereich von Gesicht und Augen.
• Stimmliche Intonation, die zu gleichmäßig oder zu robotisch wirkt.
• Schwierigkeit der anderen Seite, auf spontane persönliche Fragen zu antworten.
• E-Mail-Adressen mit geringfügigen Änderungen, die zur Täuschung gedacht sind.

Was ist sofort zu tun?

• Beenden des Gesprächs und Verifizierung mit der Person über einen separaten Kommunikationskanal.
• Information der Sicherheits- oder Finanzabteilung im Unternehmen.
• Dringende Kontaktaufnahme mit der Bank zur Prüfung der Möglichkeiten für eine Stornierung von Überweisungen.
• Prüfung der rechtlichen Möglichkeiten bezüglich der Haftung der beteiligten Parteien.

Zentraler rechtlicher Aspekt:

Das Gesetz über Zahlungsdienste gewährt dem Kunden Schutz, und die Chance auf Rückgewinnung von Geldern hängt maßgeblich von den Umständen des Einzelfalls und der Frage ab, ob der Fall als Fahrlässigkeit eingestuft wird. Es wird empfohlen, jeden Fall individuell anhand der aktuellen gesetzlichen Vorschriften zu prüfen.